PHP2Shellは始まりか｜Cloudflare CEOが『他の重要ソフトにも重大脆弱性』、AIで発見が加速

2026年10月、PHPの重大脆弱性 php2shell をきっかけに、世界各地で緊急パッチ適用やサービス停止が相次ぎました。

そして、今回の話はPHPだけで終わらない可能性があります。

Reutersは10月23日、Cloudflare CEOのMatthew Prince氏が、他の重要ソフトウェアにも複数の深刻な脆弱性が存在することを把握していると説明したと報じました。Prince氏は、AIによって長年眠っていた欠陥が次々に見つかることで、今後数カ月はセキュリティ対応が非常に忙しくなり、さらに今後数年にわたって毎週のように重大な問題が表面化する可能性があるとの見方を示しています。

つまり、php2shellは単発の大事件ではなく、AIによる脆弱性発見が本格化した時代の最初の大きな例の一つになる可能性があります。

この記事はReuters、Cloudflare公式ブログなど、2026年10月24日時点で確認できる公開情報をもとに整理しています。

先に結論

Cloudflare CEOは、PHP以外の重要ソフトにも複数の深刻な脆弱性が存在することを把握しているとReutersに説明しています
Reutersが取材した専門家らは、AIによる脆弱性発見が今後さらに増えると見ています
VulnCheckの調査では、発見されるデジタル脆弱性の数が前年から約2倍になり、AIが増加を後押ししたとされています
問題は「見つかる数」だけではなく、発見から悪用までの時間が急速に短くなっていることです
php2shellでは公開直後から大量の攻撃試行が観測されました
今後は、重大脆弱性が出るたびに慌てるのではなく、更新・資産把握・バックアップ・WAF・EOL対策を平時から回す運用が重要になります

Cloudflare CEOが『他の重要ソフトにも重大脆弱性』と発言

Reutersによると、Cloudflare CEOのMatthew Prince氏は、PHP以外の重要なソフトウェアにも、追加の深刻な脆弱性が複数存在することを認識していると説明しました。

Prince氏は、AIがインターネット基盤の中に長年残っていた弱点を掘り起こすことで、今後数カ月は対応が続くと予想しています。

さらに、今後数年は毎週のように大きなセキュリティ問題が表面化してもおかしくない、というかなり強い見通しも示しています。

ここで重要なのは、『新しい脆弱性が突然大量に生まれた』という話ではないことです。

長年使われてきたコードの中に存在していた欠陥を、AIがこれまでより高速に見つけられるようになってきた、という変化です。

なぜ今、脆弱性が急に増えて見えるのか

ソフトウェアの脆弱性は以前から存在していました。

変わったのは、探し方です。

これまでは、

セキュリティ研究者がソースコードを読む
ファジングで異常系を探す
PoCを手作業で組む
複数の条件を組み合わせて再現する

といった、人間の専門家による作業が中心でした。

現在はAIを組み合わせることで、

大量のコードを横断して読む
不自然な処理を候補として抽出する
異常終了やメモリ破壊につながる条件を探索する
複数の挙動を組み合わせて攻撃経路を検討する

といった作業を、以前より大規模かつ高速に行えるようになっています。

Reutersは、VulnCheckの調査として、発見されるデジタル脆弱性の数が前年から約2倍になり、AIがその増加を後押ししたと伝えています。

php2shellは、その象徴的な例になった

2026年10月21日に公開されたphp2shellでは、

CVE-2026-109618
CVE-2026-109619

という2件の重大脆弱性が公開されました。

PHPランタイムそのものに存在する問題で、条件が成立すると未認証のリモートコード実行や情報漏えいにつながる可能性があります。

Cloudflareは公開前からWAF対策を準備し、正式公開の約9時間前には保護を展開していたと説明しています。

それでも、公開後は攻撃者がペイロードを変化させながら回避を試みる通信が観測されました。Reutersは、Cloudflareなどで攻撃試行が短期間に大規模化したと報じています。

今回のphp2shellについては、以下の記事でも詳しく追っています。

PHPの重大RCE脆弱性2件が正式公開｜CVE-2026-109618 / CVE-2026-109619

PHP2Shell続報｜パッチ後も攻撃試行が急増

本当に怖いのは『発見から悪用までの時間』

今後のセキュリティで特に大きな変化になりそうなのが、時間軸の短縮です。

以前は、

脆弱性が発見される
修正版が作られる
公開される
攻撃コードが作られる
実際の攻撃が広がる

までに一定の時間差がありました。

ところがAIによって、攻撃者側も、

公開された修正差分を読む
攻撃条件を推測する
PoC候補を生成する
大量の環境へ自動試行する

といった作業を高速化できます。

Reutersの取材でも、専門家は脆弱性を見つける時間だけでなく、攻撃者が武器化するまでの時間そのものが短くなっていると指摘しています。

今後は「パッチが出たから週末に対応しよう」という運用では間に合わないケースが増える可能性があります。

PHP以外でも既に同じ流れが見え始めている

PHPだけが特殊なわけではありません。

Reutersは10月23日、OpenAIのセキュリティ検証の中で、広く利用される圧縮ライブラリ Brotli に脆弱性が見つかったことも報じています。

BrotliはNode.js、Bun、Envoyなどさまざまなソフトウェアで利用されるため、単一のライブラリの問題が多数の製品へ波及します。

このブログでも、Node.js側の影響について整理しています。

Node.js 2026年10月セキュリティ更新｜Brotli RCE CVE-2026-111497

さらに同じ時期には、Ruby/GitLab系のRCE、LiteLLMのサプライチェーン攻撃、WordPress関連のセキュリティ事故なども相次いでいます。これらすべてがAIによって発見されたという意味ではありませんが、管理者が短期間に複数の重大案件へ対応しなければならない状況は既に現実になっています。

『AIが危険』だけでは終わらない

ここまで読むと、AIがセキュリティを悪化させるだけのように見えます。

しかし、長期的には逆の面もあります。

AIによって、これまで見つからなかった脆弱性を攻撃者より先に見つけ、修正できる可能性も高まります。

Prince氏もReutersに対して、短期的には混乱が増える一方で、最終的には長年残っていた弱点を大量に掃除できるため、結果としてインターネットは安全になる可能性があるとの見方を示しています。

つまり、これから数年は、

危険な時期であると同時に、古い脆弱性を一気に片付ける時期

になる可能性があります。

一般ユーザーが今から変えるべきこと

サーバーを管理していない一般ユーザーでも、影響はあります。

OS・ブラウザ・アプリの更新を後回しにしない

重大脆弱性が公開された後、攻撃コードが作られるまでの時間が短くなるなら、更新を何週間も止めるリスクは以前より大きくなります。

Windows、macOS、iOS、Android、ブラウザなど、日常的にインターネットへ接続するソフトは更新を溜めない方が安全です。

サポート切れソフトを使い続けない

重大脆弱性が見つかっても、EOL製品には修正版が出ないことがあります。

今後AIによって古いコードの欠陥が掘り起こされるなら、サポート終了済みソフトを使い続けるリスクはさらに大きくなると考えた方がよいでしょう。

MFAとパスワード使い回し対策

脆弱性そのものを防げなくても、侵入後に認証情報が盗まれた場合の被害はMFAやパスワード分離で抑えられます。

WordPress・サイト管理者が今からやるべきこと

サイト管理者は、更新作業そのものより更新できる体制を作ることが重要です。

1. 何を使っているか把握する

最低でも、

PHPバージョン
Webサーバー
WordPress本体
プラグイン
テーマ
Node.jsなどのランタイム
リバースプロキシやCDN

を把握しておきます。

重大脆弱性が出たときに「自分は対象なのか」から調べ始めると、それだけで対応が遅れます。

2. バックアップを普段から取る

アップデート直後に不具合が起きた場合でも、バックアップがあれば判断しやすくなります。

重要なのは、障害が起きてからバックアップを始めるのではなく、何も起きていない時点で定期バックアップを作っておくことです。

3. WAFは有効だが、パッチの代わりにはならない

php2shellではCloudflare WAFが攻撃をかなり早い段階から防御しました。

ただしCloudflare自身も、WAFを使っていてもPHP本体を更新するよう案内しています。

WAFは、

パッチまでの時間を稼ぐ
既知の攻撃パターンを止める
攻撃試行を可視化する

ための強力な防御層ですが、脆弱なソフトを放置する理由にはなりません。

4. 『重大脆弱性が出たらどうするか』を決めておく

今後本当に毎週のように重大案件が出るなら、そのたびにゼロから判断する運用は続きません。

たとえば、

Criticalなら即日確認
インターネット公開サービスなら優先度を上げる
修正版がなければ一時停止も検討
更新前にバックアップ
更新後にログと動作確認

という最低限の手順を決めておくだけでも、対応速度は大きく変わります。

最近のPHPでは、修正版公開後も追加案内が続いている

今回のphp2shellでも、10月21日の修正版公開で完全に話が終わったわけではありません。

10月23日にはPHP公式から session.upload_progress に関する追加の緩和策も案内されています。

PHP公式が追加対策を案内｜session.upload_progress無効化を推奨

このように今後は、

修正版を入れた → 終了

ではなく、公開後数日間は追加情報を追う必要がある案件も増えると考えた方がよさそうです。

これからは『脆弱性ニュースを追う』こと自体が重要になる

これまでは、一般のサイト運営者が毎日のようにセキュリティニュースを見る必要はないケースも多くありました。

しかしAIによる脆弱性発見と攻撃自動化が進むと、状況は変わります。

重要なのは恐怖を煽ることではなく、

自分が対象か
修正版はあるか
今すぐ対応が必要か
一時的な緩和策はあるか
追加情報が出ていないか

を短時間で判断することです。

このブログでも、WindowsやOfficeの不具合だけでなく、今後大きな影響が出るセキュリティ案件について、公式情報を確認しながら継続して整理していきます。

まとめ

Cloudflare CEOのMatthew Prince氏は、PHP以外の重要ソフトにも複数の深刻な脆弱性が存在することを把握しているとReutersに説明しました。

AIによって、これまで長期間見つからなかった欠陥が高速に掘り起こされ始めています。

そして攻撃者側もAIを使えるため、発見から悪用までの猶予は短くなる可能性があります。

これから必要になるのは、重大脆弱性が出るたびに慌てることではありません。

更新を止めない
EOL製品を減らす
自分が使っているソフトを把握する
バックアップを取る
WAFなどで防御層を増やす
公開後の追加情報まで追う

という基本を、普段から回せる状態にしておくことです。

php2shellは、2026年の一度きりの事件ではなく、AI時代の脆弱性対応がどう変わるかを示す転換点になるかもしれません。